[发明专利]软件行为分析方法及系统

权利要求书

1.一种软件行为分析方法，所述方法包括以下步骤：

在客户端中，植入软件安装包签名工具，并通过所述软件安装包签名工具对所述软件安装包重新签名打包；其中，打包后的软件安装包还包括软件在客户端上运行时存储的数据；

将重新签名打包后的所述软件安装包利用脚本文件自动安装到制定路径；

在自动化测试框架下通过自动化命令工具的数据输入首先运行已安装到制定路径的软件，随之判断所述软件是否有需要输入用户信息的界面，如不存在，则进行模拟操作，进而产生模拟软件行为，

在服务器中，对所述模拟软件行为与后台软件行为进行比较，从而标记出恶意行为和可疑行为；其中，模拟软件行为是对所述软件模拟运行产生的行为，而后台软件行为是正规渠道或者官方软件的软件行为；

在所述客户端中，在所述软件中植入抓包插件并且对所述模拟软件行为进行监测，在监测过程中，获取网络访问信息，收集恶意行为信息并利用IP过滤系统抓取访问网络的IP地址信息。

2.根据权利要求1所述的方法，其特征在于，在服务器中，过滤掉已安装所述客户端的测试设备及后台带来的冗余数据，对所述模拟软件行为而产生的网络行为、恶意行为进行分类统计。

3.根据权利要求2所述的方法，其特征在于，进一步过滤掉IP黑名单中软件。

4.根据权利要求3所述的方法，其特征在于，如果恶意行为存在于后台，将进一步标记为恶意样本。

5.根据权利要求3所述的方法，其特征在于，如果存在N项网络行为，其中N项网络行为中有M项可疑行为，则当1/(1+M/N)Y时，判定为恶意软件，否则为安全软件，其中Y为0.35至0.74之间任意数值。

6.根据权利要求1所述的方法，其特征在于，所述签名工具为jarsigner或apksigner，所述模拟操作包括click，slide，long press操作。

7.一种用于执行权利要求1至6中任一项所述方法的软件行为分析系统，所述软件行为分析系统包括客户端(1)和服务器(2)，其特征在于，

所述客户端中设有：

重新打包模块(11)，用于在所述客户端中植入软件安装包签名工具，并通过所述软件安装包签名工具对所述软件安装包重新签名打包；其中，打包后的软件安装包还包括软件在客户端上运行时存储的数据；

自动安装模块(12)，用于将重新签名打包后的所述软件安装包利用脚本文件自动安装到制定路径；

模拟运行模块(13)，在自动化测试框架下通过自动化命令工具的数据输入首先运行已安装到制定路径的软件，随之判断所述软件是否有需要输入用户信息的界面，如不存在，则进行模拟操作，进而产生模拟软件行为，

所述服务器中设有：

行为分析模块(21)，对所述模拟软件行为与后台软件行为进行比较，从而标记出恶意行为和可疑行为；其中，模拟软件行为是对所述软件模拟运行产生的行为，而后台软件行为是正规渠道或者官方软件的软件行为；

在所述客户端中还设有监测分析模块(14)，用于在所述软件中植入抓包插件并且对所述模拟软件行为进行监测，在监测过程中，获取网络访问信息，收集恶意行为信息并利用IP过滤系统抓取访问网络的IP地址信息。

8.根据权利要求7所述的软件行为分析系统，其特征在于，

所述行为分析模块(21)还用于过滤掉已安装所述客户端的测试设备及后台带来的冗余数据，对所述模拟软件行为而产生的网络行为、恶意行为进行分类统计，

所述服务器中还设有：

行为评估模块(22)，用于首先进一步过滤掉IP黑名单中软件并且评估，如果恶意行为存在于后台，将进一步标记为恶意样本，如果存在N项网络行为，其中N项网络行为中有M项可疑行为，则当1/(1+M/N)Y时，判定为恶意软件，否则为安全软件，其中Y为0.35至0.74之间任意数值。